Со всей болтовней, связанной с ошибкой в сердце, трудно найти информацию о том, для чего используется эксплоатируемое расширение Heartbeat для OpenSSL.
Кроме того, можно ли отключить его для Apache w/mod_ssl без перекомпоновки с флагом -DOPENSSL_NO_HEARTBEATS, как предложено @http://heartbleed.com/?
Heartbeat - это эхо-функциональность, где обе стороны (клиент или сервер) запрашивают повторное эхо-повторение нескольких байтов данных, которые он отправляет на другую сторону. Идея состоит в том, что это можно использовать как функцию keep-alive, поскольку функция эха предположительно предназначена для проверки того, что оба конца продолжают правильно обрабатывать шифрование и дешифрование. Проблема, конечно, в том, что до недавнего обновления OpenSSL не защищал от отправки больше данных, чем было предоставлено в первую очередь. Я не знаю, где расширение сердцебиения фактически используется в приложении, поскольку большинство сообщений, требующих его (например, websockets), полагаются на свои собственные функции keep-alive, реализованные на более высоком уровне.
Я не могу ответить на ваш второй вопрос --- но меня это удивило бы, если бы ответ был да.
Попробуй это для информации о сердечных ударах: http://www.troyhunt.com/2014/04/everything-you-need-to-know-about.html
На самом деле я не парень-апач, я понимаю, что флаг работает, но может произойти удар производительности. Совет должен перекомпилировать. Также поговорите с вашими разработчиками о отправке писем, вы можете попросить своих пользователей изменить свои пароли - просто чтобы быть в безопасности. У меня уже было несколько таких сервисов, как это уже
Вы можете найти все сведения о расширении TLS и DTLS Heartbeat, прочитав RFC6520: https://tools.ietf.org/html/rfc6520.
Посмотрите это видео. Это объясняет, какое сердцебиение находится в первой части, а затем объясняет бровь. http://vimeo.com/91425662